アプリケーション レイヤでの Secret の暗号化

このページでは、Cloud Key Management Service(Cloud KMS)で管理する鍵を使用して、アプリケーション レイヤで Kubernetes の Secret を暗号化する方法について説明します。この機能は Cloud KMS の機能に依存しているため、暗号鍵のローテーションエンベロープ暗号化について理解しておく必要があります。

アプリケーション レイヤでの Secret の暗号化を既存のクラスタで使用するための更新は、次の GKE バージョンでサポートされています。

  • GKE 1.11: v1.11.10 以降
  • GKE 1.12: v1.12.7 以降
  • GKE 1.13 以降

概要

GKE は、デフォルトで Secret などの保存されている顧客コンテンツを暗号化します。GKE では、こうした暗号化の処理と管理が自動的に行われるため、ユーザー側での操作は不要です。

アプリケーション レイヤで Secret を暗号化すると、機密データ(etcd に格納されている Secret など)に対するセキュリティをさらに強化できます。この機能により、Cloud KMS で管理している鍵を使用して、アプリケーション レイヤでデータを暗号化できます。そうすることで、攻撃者が etcd のオフライン コピーにアクセスした場合でもデータの内容が読み取られることはありません。

アプリケーション レイヤでの Secret の暗号化を使用するには、まず Cloud KMS 鍵を作成し、GKE サービス アカウントにその鍵へのアクセス権を付与する必要があります。レイテンシを減らし、リソースが複数の障害発生ドメイン間のサービスに依存しないようにするには、鍵がクラスタと同じロケーションに存在する必要があります。このようにしてから、使用する鍵を指定して新しいクラスタまたは既存のクラスタでこの機能を有効にできます。

エンベロープ暗号化

Kubernetes の KMS プロバイダは、Secret のエンベロープ暗号化機能を提供します。具体的には、一般的にデータ暗号鍵(DEK)と呼ばれるローカル鍵が Secret の暗号化に使用されます。DEK 自体は、鍵暗号鍵と呼ばれる別の鍵で暗号化されています。鍵暗号鍵は Kubernetes に保存されません。

エンベロープ暗号化には、主に 2 つの利点があります。

  • 鍵暗号鍵は、すべての Secret を再暗号化しなくてもローテーションできます。つまり、パフォーマンスに大きな影響を与えることなく、通常の鍵ローテーションのベスト プラクティスに簡単に従うことができます。

  • Kubernetes に保存されている Secret は、外部の信頼のルートを利用できます。つまり、ハードウェア セキュリティ モジュールなどの一元的な信頼のルートによって Secret を保護できるため、攻撃者がオフラインでコンテナにアクセスした場合でも Secret が取得されることはありません。

GKE のアプリケーション レイヤでの Secret の暗号化により、Secret は AES-CBC プロバイダを使用して DEK でローカルに暗号化され、DEK は Cloud KMS で管理する鍵暗号鍵で暗号化されます。

エンベロープ暗号化の詳細については、エンベロープ暗号化をご覧ください。

シークレットを作成した場合

新しい Secret を作成すると、次のようになります。

  • Kubernetes API サーバーは乱数生成ツールを使用して、Secret のための一意の DEK を生成します。

  • Kubernetes API サーバーは、DEK をローカルで使用して、Secret を暗号化します。

  • KMS プラグインは暗号化のために DEK を Cloud KMS に送信します。KMS プラグインは、プロジェクトの GKE サービス アカウントを使用して、Cloud KMS への認証を行います。

  • Cloud KMS は、DEK を暗号化して KMS プラグインに返送します。

  • Kubernetes API サーバーは、暗号化された Secret と暗号化された DEK を保存します。平文の DEK はディスクに保存されません。

クライアントが Kubernetes API サーバーから Secret をリクエストすると、上記のプロセスが逆順で実行されます。

鍵を破棄した場合

GKE で Secret の暗号化に使用された鍵が Cloud KMS で破棄されると、その Secret は利用できなくなります。サービス アカウント トークン ボリューム プロジェクションを使用しない場合、GKE で使用するサービス アカウントも Secret を使用するため、鍵が破壊されるとこれらは使用できなくなります。これらのアカウントにアクセスできないため、クラスタの起動は失敗します。

鍵を破棄する前にクラスタで現在使用されているか確認することをおすすめします。Cloud KMS での鍵の破棄に関するアラート ポリシーを作成することもできます。

始める前に

  • このトピックの演習を行うには、2 つの Google Cloud プロジェクトが必要です。

    • 鍵プロジェクト: 鍵暗号鍵の作成先。

    • クラスタ プロジェクト: アプリケーション レイヤでの Secret の暗号化を有効にするクラスタの作成先。

  • 鍵プロジェクトで、Cloud KMS API が有効になっていることを確認します。

    Cloud KMS API の有効化

  • 鍵プロジェクトでは、キーリングと鍵を作成するユーザーに次の Cloud IAM 権限が必要になります。

    • cloudkms.keyRings.getIamPolicy
    • cloudkms.keyRings.setIamPolicy

    これらの権限(および他の権限)は、事前定義された Cloud Identity and Access Management ロールroles/cloudkms.admin に付与されています。鍵を管理するための権限の付与に関する詳細については、Cloud KMS のドキュメントをご覧ください。

  • クラスタ プロジェクトで、Google Kubernetes Engine API が有効になっていることを確認します。

    Google Kubernetes Engine API の有効化

  • Cloud SDK がインストール済みであることを確認します。

  • gcloud を最新バージョンに更新します。

    gcloud components update

Cloud KMS 鍵を作成する

キーリングを作成するときは、GKE クラスタのロケーションと一致するロケーションを指定します。

  • ゾーンクラスタは、スーパーセット ロケーションからのキーリングを使用する必要があります。たとえば、ゾーン us-central1-a のクラスタは、リージョン us-central1 の鍵のみを使用できます。

  • リージョン クラスタは、同じロケーションからのキーリングを使用する必要があります。たとえば、リージョン asia-northeast1 のクラスタは、リージョン asia-northeast1 のキーリングで保護する必要があります。

  • GKE では、Cloud KMS の global リージョンの使用はサポートされていません。

Google Cloud Console または gcloud コマンドを使用できます。

Console

鍵プロジェクトでキーリングを作成します。

  1. Cloud Console で [暗号鍵] ページに移動します。

    [暗号鍵] ページに移動

  2. [キーリングを作成] をクリックします。

  3. [キーリング名] フィールドに、キーリングの名前を入力します。

  4. [ロケーション] プルダウンで、Kubernetes クラスタのロケーションを選択します。[キーリングの作成] ページは次のようになります。

    Google Cloud ウェブ UI のキーリング作成画面

  5. [作成] をクリックします。

次に、鍵を作成します。

  1. Cloud Console で [暗号鍵] ページに移動します。

    [暗号鍵] ページに移動

  2. 鍵を作成するキーリングの名前をクリックします。

  3. [鍵を作成] をクリックします。

  4. [キー名] フィールドに、鍵の名前を入力します。

  5. [ローテーション期間] と [開始日] に鍵のローテーション期間と開始時間を設定します。デフォルト値をそのまま使用することもできます。

  6. (省略可)鍵にラベルを追加する場合は、[ラベル] フィールドで [ラベルを追加] をクリックします。

    [鍵の作成] ページは次のようになります。

    Google Cloud ウェブ UI のキー作成画面

  7. [作成] をクリックします。

gcloud

鍵プロジェクトでキーリングを作成します。

    gcloud kms keyrings create ring-name \
        --location location \
        --project key-project-id
    

ここで

  • ring-name は、キーリングに付ける名前です。
  • location は、キーリングを作成するリージョンです。
  • key-project-id は、鍵プロジェクト ID です。

鍵を作成します。

    gcloud kms keys create key-name \
        --location location \
        --keyring ring-name \
        --purpose encryption \
        --project key-project-id
    

ここで

  • key-name は、鍵に付ける名前です。
  • location は、キーリングを作成したリージョンです。
  • ring-name は、キーリングの名前です。
  • key-project-id は、鍵プロジェクト ID です。

鍵を使用する権限を付与する

クラスタ プロジェクトの GKE サービス アカウントの名前は次のとおりです。

    service-cluster-project-number@container-engine-robot.iam.gserviceaccount.com
    

ここで、cluster-project-number は、クラスタ プロジェクト番号です。

サービス アカウントへのアクセスを許可するには、Google Cloud Console または gcloud コマンドを使用します。

Console

GKE サービス アカウントに Cloud KMS 暗号鍵の暗号化 / 復号のロールを付与します。

  1. Google Cloud Console で Cloud Key Management Service 鍵ブラウザを開きます。
    Cloud KMS 鍵のブラウザを開く
  2. 目的の鍵を含むキーリングの名前をクリックします。

  3. 使用する鍵のチェックボックスをオンにします。

    右側のウィンドウの [権限] タブが有効になります。

  4. [メンバーの追加] ダイアログで、アクセス権を付与する GKE サービス アカウントのメールアドレスを指定します。

  5. [ロールを選択] プルダウンで、[クラウド KMS 暗号鍵の暗号化 / 復号] を選択します。

  6. [保存] をクリックします。

gcloud

GKE サービス アカウントに Cloud KMS 暗号鍵の暗号化 / 復号のロールを付与します。

    gcloud kms keys add-iam-policy-binding key-name \
      --location location \
      --keyring ring-name \
      --member serviceAccount:service-account-name \
      --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
      --project key-project-id
    

ここで

  • key-name は、鍵の名前です。
  • location は、キーリングを作成したリージョンです。
  • ring-name は、キーリングの名前です。
  • service-account-name は、GKE サービス アカウントの名前です。
  • key-project-id は、鍵プロジェクト ID です。

アプリケーション レイヤでの Secret の暗号化を有効にする

新しいクラスタの場合

新しいクラスタを作成するには、Google Cloud Console または gcloud ツールを使用します。

Console

  1. Cloud Console で Google Kubernetes Engine のメニューに移動します。

    Google Kubernetes Engine のメニューに移動

  2. [クラスタを作成] ボタンをクリックします。

  3. クラスタとノードプールを必要に応じて構成します。

  4. ナビゲーション パネルの [クラスタ] の下の [セキュリティ] をクリックします。

  5. [アプリケーション レイヤでのシークレットの暗号化を有効にする] を選択して、Cloud KMS 鍵を作成するで作成したデータベース暗号鍵を選択します。

  6. クラスタの構成を続けます。

  7. [作成] をクリックします。

gcloud

アプリケーション レイヤでの Secret の暗号化をサポートするクラスタを作成するには、作成コマンドの --database-encryption-key パラメータに値を指定します。

    gcloud container clusters create cluster-name \
      --cluster-version=latest \
      --zone zone \
      --database-encryption-key projects/key-project-id/locations/location/keyRings/ring-name/cryptoKeys/key-name \
      --project cluster-project-id
    

ここで

  • cluster-name は、クラスタに付ける名前です。
  • zone は、クラスタを作成するゾーンです。
  • key-project-id は、鍵プロジェクト ID です。
  • location は、キーリングのロケーションです。
  • ring-name は、キーリングの名前です。
  • key-name は、鍵の名前です。
  • cluster-project-id は、クラスタ プロジェクト ID です。

既存クラスタの場合

既存のクラスタを更新すると、次のいずれかの条件が満たされていれば、アプリケーション レイヤでの Secret の暗号化を使用できます。

  • クラスタ バージョンが v1.11.9 以降で v1.12.0 未満である。
  • クラスタ バージョンが v1.12.7 以降である。

Google Cloud Console または gcloud コマンドを使用できます。

Console

アプリケーション レイヤでの Secret の暗号化をサポートするようにクラスタを更新するには:

  1. Cloud Console で Google Kubernetes Engine のメニューに移動します。

    Google Kubernetes Engine のメニューに移動

  2. 変更するクラスタの [編集] アイコンをクリックします。アイコンは鉛筆の形をしています。

  3. [アプリケーション レイヤでのシークレットの暗号化] を有効にして、Cloud KMS 鍵を作成するで作成したデータベース暗号鍵を選択します。

  4. [保存] をクリックします。

gcloud

アプリケーション レイヤでの Secret の暗号化を既存のクラスタで有効にするには、次のコマンドを実行します。

    gcloud container clusters update cluster-name \
      --zone zone \
      --database-encryption-key projects/key-project-id/locations/location/keyRings/ring-name/cryptoKeys/key-name \
      --project cluster-project-id
    

ここで

  • cluster-name は、クラスタに付ける名前です。
  • zone は、クラスタを作成するゾーンです。
  • key-project-id は、鍵プロジェクト ID です。
  • location は、キーリングのロケーションです。
  • ring-name は、キーリングの名前です。
  • key-name は、鍵の名前です。
  • cluster-project-id は、クラスタ プロジェクト ID です。

Cloud KMS 鍵を更新する

次のいずれかの条件が満たされていれば、別の Cloud KMS 鍵を使用するように既存のクラスタを更新できます。

  • クラスタ バージョンが v1_15_5 以降で v1.16.0 未満である。
  • クラスタ バージョンが v1.16.0-gke.5 以降である。

Console

新しい Cloud KMS 鍵を使用するようにクラスタを更新するには:

  1. Cloud Console で Google Kubernetes Engine のメニューに移動します。

    Google Kubernetes Engine のメニューに移動

  2. 変更するクラスタの [編集] アイコンをクリックします。アイコンは鉛筆の形をしています。

  3. [アプリケーション レイヤでのシークレットの暗号化] で、使用する新しい暗号鍵を選択します。

  4. [保存] をクリックします。

gcloud

新しい Cloud KMS 鍵を使用するように既存のクラスタを更新するには:

    gcloud container clusters update cluster-name \
      --zone zone \
      --database-encryption-key projects/key-project-id/locations/location/keyRings/ring-name/cryptoKeys/key-name \
      --project cluster-project-id
    

ここで

  • cluster-name は、クラスタに付ける名前です。
  • zone は、クラスタを作成するゾーンです。
  • key-project-id は、鍵プロジェクト ID です。
  • location は、キーリングのロケーションです。
  • ring-name は、キーリングの名前です。
  • key-name は、鍵の名前です。
  • cluster-project-id は、クラスタ プロジェクト ID です。

アプリケーション レイヤでの Secret の暗号化を無効にする

既存のクラスタを更新すると、次のいずれかの条件が満たされていれば、アプリケーション レイヤでの Secret の暗号化の使用を停止できます。

  • クラスタ バージョンが v1.11.9 以降で v1.12.0 未満である。
  • クラスタ バージョンが v1.12.7 以降である。

Google Cloud Console または gcloud コマンドを使用できます。

Console

  1. Cloud Console で Google Kubernetes Engine のメニューに移動します。

    Google Kubernetes Engine のメニューに移動

  2. 変更するクラスタの [編集] アイコンをクリックします。アイコンは鉛筆の形をしています。

  3. [アプリケーション レイヤでのシークレットの暗号化] を無効にします。

  4. [保存] をクリックします。

gcloud

アプリケーション レイヤでのシークレットの暗号化を無効にするには、次のコマンドを実行します。

    gcloud container clusters update cluster-name \
      --zone zone \
      --disable-database-encryption \
      --project cluster-project-id
    

ここで

  • cluster-name は、クラスタに付ける名前です。
  • zone は、クラスタを作成するゾーンです。
  • cluster-project-id は、クラスタ プロジェクト ID です。

アプリケーション レイヤでの Secret の暗号化が有効になっていることを確認する

クラスタがアプリケーション レイヤでの Secret の暗号化を使用しているか調べるには、Google Cloud Console または gcloud コマンドを使用します。

Console

  1. Cloud Console で Google Kubernetes Engine のメニューに移動します。

    Google Kubernetes Engine のメニューに移動

  2. 変更するクラスタの名前をクリックします。クラスタの [詳細] ページが開きます。

  3. [アプリケーション レイヤでのシークレットの暗号化] が有効であることと、正しいキーが表示されていることを確認します。

gcloud

クラスタがアプリケーション レイヤでのシークレットの暗号化を使用しているかどうかを確認します。

    gcloud container clusters describe cluster-name \
      --zone compute-zone \
      --format 'value(databaseEncryption)' \
      --project cluster-project-id
    

ここで

  • cluster-name は、既存のクラスタの名前です。
  • compute-zone は、クラスタのゾーンの名前です。
  • cluster-project-id は、クラスタ プロジェクト ID です。

クラスタがアプリケーション レイヤでの Secret の暗号化を使用している場合、レスポンスには次の EncryptionConfig が含まれています。

    keyName=projects/project/locations/location/keyRings/ring-name/cryptoKeys/key-name;state=ENCRYPTED
    

制限事項

鍵の場所

使用されているクラスタと同じリージョン内の鍵を選択する必要があります。たとえば us-central1-a 内のゾーンクラスタは、us-central1 リージョン内の鍵のみを使用できます。リージョン クラスタの場合、レイテンシを減らし、リソースが複数の障害発生ドメイン間のサービスに依存しないようにするには、鍵がクラスタと同じロケーションに存在する必要があります。

鍵のローテーション

Secret を暗号化する KEK はローテーションされず、最後まで Secret に使用されます。別の KEK が Secret をラップできるようにするには、KEK をローテーションしてから新しい Secret を作成します。

たとえば、Secret1 Secret を作成して保存します。この Secret が DEK1 で暗号化されて、さらに KEKv1 でラップされます。KEKv1 がローテーションする前に、別の Secret Secret2 を作成します。Secret2 は、独自の鍵 DEK2 を取得します。KEKv1 を再び使用して DEK を暗号化します。

KEK がローテーションした後で、別の Secret Secret3 を作成すると、これが DEK3 で暗号化されます。DEK3 が今度は KEKv2(ローテーションされた KEK)で暗号化されます。

Secret を暗号化する KEK を手動でローテーションする方法については、Secret を再暗号化するをご覧ください。

Secret を再暗号化する

現時点では、Secret の自動的な再暗号化を強制する手段はありません。必要な場合は、新しい鍵バージョンを作成して KEK を手動でローテーションできます。

    gcloud kms keys versions create --location location \
       --keyring ring-name \
       --key key-name \
       --primary \
       --project key-project-id
    

すべての Secret をタップして GKE を強制的に再暗号化します。

    kubectl get secrets --all-namespaces -o json | kubectl replace -f -
    

EncryptionConfig

現時点では、Cloud KMS の鍵だけが GKE でサポートされています。それ以外の Kubernetes KMS プロバイダ暗号化プロバイダを使用することはできません。

次のステップ